odmin@opslog: ~/blog
← cd ..
odmin@opslog:~/blog$ cat nginx-1-30-6.md

Выпущен nginx 1.30.6

14 октября 2026 года вышел nginx 1.30.6. В стабильной ветке устранены пять уязвимостей, связанных с обработкой путей, выражений, HTTP/3, TLS и AIO, а также исправлены ошибки в HTTP/2, HTTP/3, QUIC, SSL, proxy cache и встроенных модулях.

Исправления безопасности

  • При использовании директивы alias в рабочем процессе могло произойти переполнение буфера, если URI запроса был изменён директивой rewrite, а затем сопоставлен с путём к файлу (CVE-2026-15176).
  • Переполнение буфера могло произойти при вычислении строковых выражений с переменными. Ошибка затрагивала определение корневого каталога документов и журналирование запросов в модулях HTTP и Stream (CVE-2026-93479).
  • При использовании HTTP/3 часть неизвестного фрейма могла быть ошибочно принята за тело запроса. Это позволяло обойти ограничение client_max_body_size или внедрить данные в проксируемый запрос (CVE-2026-95101).
  • При ротации ключей билетов TLS-сессий один из ключей оставался неинициализированным, что могло позволить подделать сессию (CVE-2026-97629).
  • При асинхронном файловом вводе-выводе (AIO) в некоторых конфигурациях могла возникнуть ошибка use-after-free, если SSI-страница содержала команды include virtual (CVE-2026-97205).

Изменения

Уровень журналирования ошибок SSL invalid alert, record layer failure и SSL alert number N для любых номеров оповещений понижен с crit до info.

Исправления ошибок

  • В рабочем процессе мог произойти segmentation fault либо в журнале могли появиться сообщения request count is zero, если заголовок X-Accel-Redirect был закэширован, а затем сохранённый в кэше ответ отправлялся клиенту.
  • Устранён segmentation fault в рабочем процессе при обработке методов COPY и MOVE модулем ngx_http_dav_module в блоке location с директивой alias.
  • Во время чтения конфигурации мог произойти segmentation fault, если директива geo использовалась с параметром ranges, а соответствующий файл бинарной базы был повреждён.
  • В рабочем процессе могла возникнуть ошибка use-after-free, если использовалось проксирование с буферизацией и при отправке ответа клиенту HTTP/2 происходила ошибка.
  • Рабочий процесс мог не завершиться, либо в журнале могли появиться сообщения accept4() failed (9: Bad file descriptor), если перед корректным завершением работы процесс исчерпал доступные файловые дескрипторы.
  • При использовании метода обработки соединений select в рабочем процессе мог произойти segmentation fault.
  • Исправлена бинарная совместимость со сторонними модулями, использующими script codes. Ошибка появилась в nginx 1.30.4.
  • Исправлена ошибка в модуле ngx_http_perl_module.
  • Исправлено управление потоком в модуле ngx_http_v2_module.
  • В журнале могли появляться сообщения [error] upstream sent frame for unknown stream и [crit] cache file ... contains invalid header при отправке закэшированного ответа HTTP/2 модулем ngx_http_proxy_v2_module, если использовалась директива proxy_cache_revalidate.
  • На некоторых операционных системах при использовании QUIC могла не отключаться фрагментация IPv6.
  • Исправлена ошибка в модуле ngx_http_auth_basic_module на Solaris.
  • Исправлены ошибки в HTTP/3, а также в модулях ngx_http_image_filter_module, ngx_http_slice_module и ngx_http_memcached_module.

Источник: список изменений стабильной ветки nginx 1.30.